[发明专利]在处理系统中处理任务

说明书

本发明公开了在处理系统中处理任务。一种在处理系统中处理输入任务的方法，所述方法包括：复制所述输入任务以便形成第一任务和第二任务；分配存储器，所述存储器包括：第一存储器块，其被配置成存储在处理第一任务期间要访问的读写数据；第二存储器块，其被配置成存储在处理第二任务期间要访问的读写数据的副本；和第三存储器块，其被配置成存储在处理第一任务和第二任务两者期间要访问的只读数据；以及在处理系统的处理逻辑处处理第一任务和第二任务，以便分别生成第一输出和第二输出。

技术领域

本发明涉及在处理系统中处理任务。

背景技术

本公开涉及处理系统以及在处理系统中处理任务的方法。

在安全关键系统中，系统的至少一些部件必须满足足以使系统作为整体能够满足被认为是系统所必要的安全等级的安全目标。例如，在大多数管辖区域内，车辆中的安全带收缩器必须满足特定安全标准，以便使具备此类装置的车辆通过安全测试。同样，车辆轮胎必须满足特定标准，以便使配备有此类轮胎的车辆通过适于特定管辖区域的安全测试。安全关键系统通常是其失效会造成人员安全或环境的风险显著增加的那些系统。

诸如数据处理装置的处理系统通常构成安全关键系统的组成部分，作为专用硬件或作为用于运行安全关键软件的处理器。例如，飞机用电传飞行系统、驾驶员辅助系统、铁路信号发送系统和医疗装置用控制系统通常都是在数据处理装置上运行的安全关键系统。在数据处理装置构成安全关键系统的组成部分的情况下，有必要使数据处理装置自身满足安全目标，使得系统作为整体可以满足适当安全等级。在汽车行业中，安全等级通常是功能安全标准ISO 26262中所定义的汽车安全完整性等级(Automotive Safety IntegrityLevel，ASIL)。

越来越多地，用于安全关键系统的数据处理装置包括运行软件的处理器。硬件和软件元件两者都必须满足特定安全目标。一些软件失效可能是编程错误或不良错误处理造成的系统性失效。这些问题通常可以通过严格的开发实践、代码审核和测试协议来解决。即使安全关键系统可能完全不包括系统性错误，但是也可能例如因为瞬时事件(例如，由电离辐射、电压尖峰或电磁脉冲造成)而将随机错误引入到硬件。在二进制系统中，瞬时事件可能会在存储器中并沿着处理器的数据路径造成随机位翻转。硬件还可能具有永久性故障。

数据处理装置的安全目标可表达为一组度量，例如在给定时间段内的最大失效次数(通常表达为单位时间失效性或FIT)，以及用于检测单点失效的机制(单点失效机制或SPFM)和用于检测潜在失效(潜在失效机制或LFM)的有效性。存在用于实现针对数据处理装置设置的安全目标的各种方法：例如，通过提供硬件冗余，使得在一个部件失效时，另一部件可用于执行相同任务，或者通过使用检查数据(例如，奇偶校验位或错误校正码)，使得硬件能够检测和/或校正轻微的数据损坏。

例如，如图1所示，数据处理器可以以双锁步布置100提供，其中一对相同的处理单元101和102被配置成并行处理指令流103。处理单元101和102通常对于每个指令流是同步的，使得两个处理单元101和102同时逐循环执行该指令流。处理单元101、102中的任一个的输出可以被用作锁步处理器的输出104。当处理单元101和102的输出不匹配时，安全关键系统可能发生故障。然而，由于需要第二处理单元，因此双锁步处理器与常规处理器相比必定会消耗两倍的芯片面积，并消耗大约两倍的功率。

在另一示例中，通过向锁步处理器100添加另外的处理器单元(未示出)，即使在这些处理器单元中的一个上检测到故障，仍可以继续提供无错误输出。这可以通过使用称为模块化冗余的过程来实现。此处，锁步处理器的输出可以是其处理单元中的两个或更多个提供的输出，其中忽略与其它单元不匹配的处理单元的输出。然而，这进一步增加了处理器的面积和功率消耗。